AI Act: conformità pratica per PMI e studi professionali
Dalla teoria agli adempimenti. Aggiornato al quadro normativo di agosto 2026, dopo il Digital Omnibus.
Le sezioni precedenti servivano a capire lo strumento, a usarlo bene e a portarlo in azienda. Questa serve a non sbagliare: classificare correttamente i tuoi casi d'uso, sapere quali obblighi ti si applicano oggi e quali dal 2027, e costruire una governance interna proporzionata alle dimensioni della tua organizzazione.
Il quadro in una frase
L'AI Act non ti chiede di rinunciare all'IA. Ti chiede di sapere che cosa stai usando, per quale scopo, con quale supervisione umana e con quale trasparenza verso le persone coinvolte. Se sai rispondere a queste quattro domande per iscritto, hai già fatto la parte più difficile.
Avvertenza
Questo materiale ha finalità formative e non costituisce consulenza legale. La classificazione di un sistema ad alto rischio e la valutazione degli obblighi applicabili al caso concreto vanno confermate con un professionista, soprattutto se operi in settori regolamentati (sanità, credito, assicurazioni, dispositivi, sicurezza).
L'architettura dell'AI Act
Chi è soggetto, a che cosa si applica, e con che logica il regolamento distribuisce gli obblighi.
Una legge di sicurezza dei prodotti, non di tecnologia
Il Regolamento (UE) 2024/1689 è costruito sull'impianto della normativa europea di sicurezza dei prodotti: marcatura, valutazione della conformità, sorveglianza del mercato, sanzioni. Questo spiega molte scelte che altrimenti sembrerebbero strane, per esempio il fatto che gli obblighi pesanti gravino su chi "immette sul mercato" e non su chi usa.
La conseguenza pratica per te: la stessa tecnologia può essere del tutto libera o pesantemente regolata a seconda dello scopo per cui la usi. Un modello linguistico che riassume verbali è rischio minimo; lo stesso modello che valuta i candidati a un'assunzione entra nell'alto rischio.
Che cos'è un "sistema di IA" ai sensi del regolamento
La definizione dell'art. 3 identifica un sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può mostrare adattività dopo la messa in servizio e che, a partire dagli input ricevuti, deduce come generare output, previsioni, contenuti, raccomandazioni o decisioni, capaci di influenzare ambienti fisici o virtuali.
Che cosa resta fuori
Un foglio di calcolo con formule, un gestionale con regole scritte, un sistema di ordinamento basato su criteri fissi: sono software tradizionale, non sistemi di IA. Il discrimine è l'inferenza, la capacità di dedurre l'output invece di applicare una regola predeterminata. Restano inoltre esclusi gli usi militari e di difesa nazionale, la ricerca e sviluppo scientifica prima dell'immissione sul mercato, e l'uso puramente personale e non professionale.
I quattro ruoli, e perché contano
| Ruolo | Definizione | Chi lo è tipicamente |
|---|---|---|
| Fornitore | Sviluppa un sistema di IA (o lo fa sviluppare) e lo immette sul mercato o in servizio con il proprio nome o marchio. | Software house, aziende che rilasciano un proprio prodotto IA, chi rimarchia soluzioni di terzi. |
| Deployer | Usa un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale. | La quasi totalità delle PMI e degli studi professionali. |
| Importatore | Stabilito nell'UE, immette sul mercato un sistema di un fornitore extra-UE. | Distributori di soluzioni statunitensi o asiatiche. |
| Distributore | Mette a disposizione sul mercato un sistema senza esserne fornitore o importatore. | Rivenditori, integratori che non modificano il prodotto. |
I tre casi in cui un deployer diventa fornitore
È l'insidia più concreta per chi fa consulenza o rivende soluzioni. Un deployer assume gli obblighi (molto più pesanti) del fornitore quando:
- appone il proprio nome o marchio su un sistema di IA ad alto rischio già immesso sul mercato;
- apporta una modifica sostanziale a un sistema ad alto rischio già in commercio;
- modifica la destinazione d'uso di un sistema in modo che diventi ad alto rischio.
Caso concreto
Uno studio di consulenza costruisce un assistente basato su un modello di terzi, lo chiama "StudioAI" e lo rivende ai clienti come strumento di prescreening dei curricula. Ha fatto due cose insieme: ha apposto il proprio marchio e ha destinato il sistema a un uso dell'Allegato III. È diventato fornitore di un sistema ad alto rischio, con tutto quel che ne consegue: sistema di gestione dei rischi, documentazione tecnica, valutazione di conformità, marcatura CE, registrazione nella banca dati UE.
Ambito territoriale: perché ti riguarda anche con fornitori americani
Il regolamento si applica a fornitori che immettono sistemi sul mercato dell'Unione a prescindere da dove siano stabiliti, ai deployer stabiliti nell'Unione, e anche a soggetti extra-UE quando l'output prodotto dal sistema è utilizzato nell'Unione. Usare uno strumento americano dall'Italia non ti mette fuori dal perimetro: ti mette dentro come deployer.
Il rapporto con il GDPR
L'AI Act non sostituisce e non deroga alla normativa sulla protezione dei dati: si applicano entrambi, e in molti casi il GDPR è il vincolo che morde per primo.
| Aspetto | GDPR | AI Act |
|---|---|---|
| Oggetto | Il trattamento di dati personali | Il sistema di IA e il suo uso |
| Domanda chiave | Ho una base giuridica per trattare questi dati? | Questo uso è vietato, ad alto rischio o soggetto a trasparenza? |
| Adempimento tipico | Informativa, registro dei trattamenti, DPIA | Sorveglianza umana, informazione delle persone, etichettatura, alfabetizzazione |
| Autorità in Italia | Garante privacy | ACN (vigilanza) e AgID (notifica e accreditamento) |
Regola pratica di sequenza
Prima di ogni nuovo uso dell'IA che coinvolge persone, fatti due domande in quest'ordine: (1) posso trattare questi dati? (GDPR: base giuridica, informativa, eventuale valutazione d'impatto). (2) questo uso in che fascia di rischio cade? (AI Act). Se la risposta alla prima è no, la seconda non serve.
Classificare il rischio: dove cadono i tuoi casi d'uso
La classificazione dipende dallo scopo, non dalla tecnologia. Qui impari a farla e la provi sui tuoi casi.
La piramide, livello per livello
Clicca su ciascun livello per vedere che cosa comprende e che cosa comporta.
Le pratiche vietate (art. 5) in dettaglio
Applicabili dal 2 febbraio 2025. Sono la fascia con le sanzioni più alte: fino a 35 milioni o il 7% del fatturato mondiale.
| Pratica vietata | Rilevanza per una PMI |
|---|---|
| Tecniche subliminali o manipolative che alterano il comportamento causando un danno significativo | Bassa, ma attenzione a sistemi di persuasione aggressiva nel marketing automatizzato |
| Sfruttamento di vulnerabilità dovute a età, disabilità o situazione sociale ed economica | Bassa, rilevante per chi si rivolge a categorie fragili |
| Punteggio sociale (social scoring) con trattamenti sfavorevoli ingiustificati | Bassa |
| Riconoscimento delle emozioni sul luogo di lavoro e negli istituti scolastici | Alta, riguarda software di analisi delle videochiamate, monitoraggio del personale, valutazione dell'engagement |
| Categorizzazione biometrica per dedurre razza, opinioni politiche, orientamento sessuale, convinzioni religiose | Bassa |
| Scraping non mirato di immagini facciali da internet o telecamere per creare banche dati di riconoscimento facciale | Media, riguarda alcuni strumenti di sicurezza e verifica identità |
| Valutazione del rischio di commissione di reati basata sul solo profilo della persona | Bassa |
| Identificazione biometrica remota in tempo reale in spazi pubblici a fini di attività di contrasto (salvo eccezioni tassative) | Non applicabile ai privati |
Il divieto che sorprende più aziende
Il riconoscimento delle emozioni sul luogo di lavoro è vietato, con eccezioni limitate a motivi medici o di sicurezza. Diversi software di analisi delle chiamate commerciali, di monitoraggio della "soddisfazione" dei dipendenti o di valutazione del tono in colloqui video ricadono qui. Se un fornitore ti propone qualcosa del genere, la domanda da fare per iscritto è: "il vostro sistema inferisce stati emotivi di lavoratori? con quale base rispetto all'art. 5?"
L'alto rischio: le due porte d'ingresso
Un sistema è ad alto rischio in due casi alternativi:
- Allegato I, è un componente di sicurezza di un prodotto già soggetto a normativa di armonizzazione UE (macchine, dispositivi medici, ascensori, giocattoli, DPI, veicoli...) e quel prodotto richiede una valutazione di conformità da parte di terzi.
- Allegato III, rientra in uno degli ambiti d'uso elencati.
Gli ambiti dell'Allegato III che toccano davvero le PMI
L'eccezione che salva molti casi
Un sistema che rientra formalmente nell'Allegato III non è considerato ad alto rischio se non presenta un rischio significativo per salute, sicurezza o diritti fondamentali, per esempio se svolge un compito procedurale ristretto, se migliora il risultato di un'attività umana già completata, se rileva schemi decisionali senza sostituire la valutazione umana, o se è meramente preparatorio. Attenzione però: l'eccezione non vale mai se il sistema effettua profilazione di persone fisiche, e chi la invoca deve documentare la valutazione prima dell'immissione sul mercato. Non è una scappatoia automatica: è una valutazione che va scritta e conservata.
Obblighi del deployer di un sistema ad alto rischio
Anche se non sei fornitore, se usi un sistema ad alto rischio hai obblighi propri:
- usarlo secondo le istruzioni del fornitore;
- garantire la sorveglianza umana affidandola a persone con competenza, formazione e autorità sufficienti;
- assicurare che i dati di input siano pertinenti e sufficientemente rappresentativi rispetto alla finalità;
- monitorare il funzionamento e sospendere l'uso segnalando al fornitore e all'autorità in caso di rischio o incidente grave;
- conservare i log generati automaticamente, per un periodo adeguato alla finalità;
- informare i lavoratori e i loro rappresentanti prima di mettere in servizio un sistema ad alto rischio sul luogo di lavoro;
- informare le persone fisiche soggette a decisioni assunte o assistite dal sistema, e, su richiesta, spiegarne il ruolo nella decisione.
Strumento: classifica un tuo caso d'uso
Valutazione guidata del rischio
Rispondi pensando a un singolo caso d'uso concreto della tua organizzazione. Il risultato è un'indicazione formativa, non una classificazione legale definitiva.
Che cosa è obbligatorio oggi
Il calendario reale ad agosto 2026, dopo il rinvio del Digital Omnibus, e gli adempimenti già esigibili.
Timeline interattiva
Clicca ogni tappa per il dettaglio.
Il cambio di scenario del 2026
Il Regolamento (UE) 2026/1744 ("Digital Omnibus" sull'IA), pubblicato in Gazzetta Ufficiale il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, ha rinviato gli obblighi sui sistemi ad alto rischio: al 2 dicembre 2027 per l'Allegato III e al 2 agosto 2028 per l'Allegato I. Il 2 agosto 2026 sono comunque diventati pienamente operativi gli obblighi di trasparenza e i poteri di vigilanza e sanzione delle autorità nazionali. Il rinvio riguarda la parte più onerosa, non l'intero regolamento: chi lo legge come "è tutto rimandato" prende un abbaglio costoso.
1. Alfabetizzazione IA, art. 4 (dal 2 febbraio 2025)
Fornitori e deployer devono adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di IA del proprio personale e di chiunque si occupi del funzionamento e dell'uso dei sistemi, tenendo conto di conoscenze tecniche, esperienza, istruzione e contesto d'uso.
L'obbligo non distingue tra grandi imprese e PMI: cambia la profondità richiesta, non l'esistenza dell'obbligo. Uno studio di tre persone che usa un chatbot per le mail commerciali è soggetto quanto una multinazionale, ma con misure proporzionate.
Come si adempie, in pratica
- Censisci quali sistemi di IA sono realmente usati, compresi quelli adottati spontaneamente dai collaboratori.
- Segmenta il personale per livello: uso occasionale, uso operativo quotidiano, ruoli decisionali o tecnici.
- Eroga formazione proporzionata: corsi, workshop, guide operative, simulazioni.
- Documenta tutto: programma, materiali, registro presenze, attestati, test di apprendimento, policy interna, aggiornamenti periodici.
- Aggiorna quando cambiano gli strumenti o le mansioni.
Il punto che quasi tutti mancano
L'obbligo non è "fare formazione": è poter dimostrare di averla fatta in modo adeguato al contesto. Senza documentazione conservata, davanti a un'autorità l'adempimento semplicemente non esiste. Un fascicolo con programma, elenco firmato dei partecipanti, materiali e data è il minimo indispensabile.
2. Divieti, art. 5 (dal 2 febbraio 2025)
Già trattati nel Modulo 2. Da agosto 2025 sono accompagnati dal regime sanzionatorio, e da agosto 2026 le autorità nazionali hanno pieni poteri di vigilanza e sanzione. È la fascia con l'esposizione più alta e va verificata per prima.
3. Trasparenza, art. 50 (dal 2 agosto 2026)
È l'obbligo che riguarda concretamente il maggior numero di PMI. Si articola su quattro fronti, distinguendo ciò che tocca al fornitore da ciò che tocca a te come deployer.
| Situazione | Chi | Che cosa |
|---|---|---|
| Sistema che interagisce con persone fisiche (chatbot, assistente vocale) | Fornitore (progettazione) | La persona deve essere informata che sta interagendo con un'IA, salvo che sia palese per una persona ragionevolmente avveduta. |
| Sistema che genera contenuti sintetici (testo, immagini, audio, video) | Fornitore | Marcatura leggibile dalla macchina che consenta di rilevare che il contenuto è generato o manipolato artificialmente. |
| Deepfake: immagini, audio o video che ritraggono persone o eventi reali in modo ingannevole | Deployer | Va reso noto che il contenuto è stato generato o manipolato artificialmente. Attenuazioni per usi artistici, satirici o creativi. |
| Testi pubblicati per informare il pubblico su questioni di interesse pubblico | Deployer | Va dichiarato che il contenuto è generato dall'IA, salvo revisione umana o controllo editoriale con responsabilità editoriale. |
| Riconoscimento emozioni o categorizzazione biometrica (dove lecito) | Deployer | Le persone esposte vanno informate. |
La Commissione europea ha pubblicato il 20 luglio 2026 gli orientamenti sulla trasparenza dei contenuti generati dall'IA, che chiariscono modalità di marcatura ed etichettatura. Il Digital Omnibus ha introdotto un periodo transitorio fino al 2 dicembre 2026 limitatamente alla marcatura tecnica dell'art. 50(2), e solo per i sistemi generativi già immessi sul mercato prima del 2 agosto 2026.
Tradotto in adempimenti concreti per una PMI
- Hai un chatbot sul sito? Deve essere evidente che è un'IA, già nel messaggio di apertura. Non basta scriverlo nelle note legali.
- Pubblichi testi informativi su temi di interesse pubblico generati dall'IA? O li fai rivedere da una persona che se ne assume la responsabilità editoriale, oppure li dichiari.
- Usi immagini o video sintetici che ritraggono persone reali? Vanno etichettati.
- Contenuti di marketing puramente creativi, testi interni, bozze non pubblicate: fuori dal perimetro dell'art. 50.
4. Modelli per finalità generali, GPAI (dal 2 agosto 2025)
Gli obblighi gravano sui fornitori dei modelli (OpenAI, Google, Anthropic, Meta, Mistral e simili): documentazione tecnica, informazioni ai fornitori a valle, policy sul diritto d'autore, sintesi pubblica dei dati di addestramento. Per i modelli con rischio sistemico si aggiungono valutazioni, test antagonistici e segnalazione degli incidenti gravi.
Perché ti interessa comunque
Non hai obblighi diretti, ma hai un criterio di selezione dei fornitori. Un fornitore che pubblica documentazione conforme, aderisce al codice di buone pratiche e dichiara i propri limiti ti trasferisce le informazioni che ti servono per i tuoi adempimenti. Uno che non lo fa te li rende molto più difficili, ed è un elemento da valutare in fase di acquisto, non dopo.
Governance interna proporzionata a una PMI
Cinque documenti e una routine. Nulla di più, ma quei cinque servono davvero.
La compliance all'AI Act in una PMI non richiede un ufficio dedicato. Richiede che qualcuno sia responsabile, che ci sia traccia scritta delle decisioni e che la traccia venga aggiornata. Tutto qui, ed è già più di quanto abbia oggi la grande maggioranza delle imprese italiane.
1. Il registro dei sistemi di IA
Il documento fondativo: non puoi governare ciò che non sai di avere. Un foglio di calcolo è sufficiente. Una colonna per ciascuno di questi campi:
| Campo | Perché serve |
|---|---|
| Nome dello strumento e fornitore | Identificazione e catena di responsabilità |
| Finalità d'uso (specifica, non generica) | È il dato da cui dipende la classificazione del rischio |
| Funzione/reparto e referente interno | Sapere chi risponde |
| Tipi di dati inseriti (personali? particolari? riservati?) | Innesco degli adempimenti GDPR |
| Fascia di rischio AI Act e motivazione | È la valutazione che devi poter mostrare |
| Chi controlla l'output prima dell'uso esterno | Sorveglianza umana documentata |
| Piano contrattuale (gratuito / business / enterprise) e data di verifica dei termini | Dimostra la diligenza nella scelta del fornitore |
| Data ultima revisione | Rende il registro un documento vivo |
Lo "shadow AI"
Nella maggior parte delle organizzazioni gli strumenti usati sono almeno il doppio di quelli noti alla direzione. Il censimento va fatto chiedendo alle persone senza tono ispettivo: se i collaboratori temono conseguenze, gli strumenti non emergono e il registro nasce già falso. Presentalo come "vogliamo capire cosa usiamo per darvi strumenti migliori e sicuri", perché è esattamente quello che stai facendo.
2. La policy aziendale sull'IA
Una pagina, scritta in italiano comprensibile, consegnata a tutti. Deve rispondere a sei domande:
- Quali strumenti sono autorizzati e chi autorizza i nuovi.
- Che cosa non si carica mai: dati personali di clienti e dipendenti, dati particolari (salute, giudiziari), credenziali, documenti coperti da segreto o NDA, know-how riservato.
- Che cosa va sempre verificato prima di riutilizzare un output: numeri, date, nomi, fonti, riferimenti normativi.
- Che cosa non si decide con l'IA: assunzioni, valutazioni del personale, provvedimenti disciplinari, concessione di credito o dilazioni.
- Quando va dichiarato l'uso dell'IA verso l'esterno (art. 50).
- A chi ci si rivolge in caso di dubbio o di errore rilevato.
Errore da evitare
Una policy che vieta tutto viene aggirata il primo giorno, e ti lascia con lo shadow AI più il documento che dimostra che sapevi. Una policy che autorizza strumenti sicuri e vieta comportamenti specifici viene rispettata. Preferisci sempre il divieto puntuale al divieto generale.
3. La valutazione dei casi d'uso
Per ogni nuovo caso d'uso rilevante, mezza pagina che risponda a: che cosa fa il sistema, su quali dati, chi è coinvolto, in che fascia di rischio ricade e perché, quali misure abbiamo adottato. Se invochi l'eccezione dell'art. 6(3) per un sistema formalmente in Allegato III, questa valutazione è obbligatoria e va conservata.
4. Il presidio della sorveglianza umana
La sorveglianza umana è efficace solo se chi la esercita ha tre cose: competenza per accorgersi dell'errore, tempo per controllare davvero, autorità per fermare il processo. Una firma di approvazione data in tre secondi su un output di due pagine non è sorveglianza: è una formalità che, in caso di contenzioso, aggrava la posizione invece di alleggerirla.
Come renderla reale
- Specifica che cosa va controllato, non "controllare l'output".
- Assegna il controllo a una persona diversa da chi ha generato, dove possibile.
- Prevedi un campione periodico di verifica a posteriori: è il modo per accorgersi che il controllo si è svuotato.
- Tieni un registro degli errori intercettati: è la prova migliore che il presidio funziona.
5. I fornitori e i contratti
Le domande da porre per iscritto prima di adottare uno strumento, e da conservare con la risposta:
- Dove sono ubicati i server e dove vengono trattati i dati? Ci sono trasferimenti extra-UE e con quali garanzie?
- I nostri input sono usati per addestrare i modelli? Come si disattiva e con che effetto retroattivo?
- Per quanto tempo sono conservati e chi vi ha accesso?
- Il fornitore agisce come responsabile del trattamento ex art. 28 GDPR? È stato firmato l'accordo?
- Il sistema è classificato come ad alto rischio dal fornitore? Sono disponibili le istruzioni per l'uso previste dall'art. 13?
- Gli output generativi sono marcati come richiesto dall'art. 50(2)?
- Quali limiti e rischi noti dichiara il fornitore?
Il valore della domanda scritta
Al di là della risposta, aver posto queste domande per iscritto e averne conservato l'esito documenta la tua diligenza nella scelta. È esattamente ciò che serve mostrare se qualcosa va storto, e nella pratica è anche il modo più rapido per capire quali fornitori sono seri.
La routine: quattro appuntamenti l'anno
| Cadenza | Attività |
|---|---|
| Trimestrale | Aggiornamento del registro dei sistemi; nuovi strumenti adottati; casi d'uso cessati |
| Semestrale | Verifica a campione della qualità degli output e dell'effettività del controllo umano |
| Annuale | Aggiornamento della formazione e della policy; revisione delle classificazioni di rischio |
| Ad evento | Nuovo strumento, nuovo caso d'uso, incidente, modifica normativa rilevante |
Il quadro italiano, le sanzioni e il piano operativo
Legge 132/2025, autorità competenti, esposizione sanzionatoria e checklist finale.
La Legge 132/2025
L'Italia è stata tra i primi Stati membri a dotarsi di una legge nazionale sull'intelligenza artificiale. La Legge 132/2025 non costruisce un sistema alternativo all'AI Act: predispone una disciplina nazionale complementare, nei settori in cui il regolamento europeo lascia spazio agli Stati o richiede l'individuazione di autorità competenti, procedure di controllo e apparato sanzionatorio.
Le autorità
Restano ferme le competenze delle autorità di settore: Banca d'Italia, Consob e IVASS per i sistemi usati in ambito bancario, finanziario e assicurativo, il Garante per la protezione dei dati personali per i profili di trattamento e l'AGCOM per le comunicazioni.
Che cosa aggiunge la legge italiana
Principi e disposizioni settoriali (sanità, lavoro, professioni intellettuali, pubblica amministrazione, giustizia), previsioni in materia di tutela del diritto d'autore e delle opere generate con l'ausilio dell'IA, deleghe al Governo per i decreti attuativi, e profili penali, tra cui l'aggravante per i reati commessi mediante sistemi di IA e la fattispecie relativa alla diffusione illecita di contenuti generati o alterati.
Per i professionisti intellettuali
L'art. 13 interviene espressamente sull'uso dell'IA nelle professioni intellettuali, con due direttrici. Primo: i sistemi di IA possono essere usati solo per attività strumentali e di supporto alla prestazione, che deve mantenere la prevalenza del lavoro umano e intellettuale. Secondo: il cliente va informato in modo chiaro, semplice ed esaustivo dei sistemi di IA utilizzati, precisando tra l'altro se il software opera in un sistema chiuso e autonomo, con banca dati limitata e controllata, oppure online su dati non direttamente verificabili, e se il prodotto è sviluppato in Italia, nell'UE o in Paesi extraeuropei.
Per studi legali, commercialisti e consulenti si traduce in un'informativa da inserire nella lettera d'incarico: adempimento semplice, in vigore dal 10 ottobre 2025, e oggi mancante in quasi tutti gli studi.
Le sanzioni
| Violazione | Massimo edittale |
|---|---|
| Pratiche vietate (art. 5) | 35 milioni di euro o 7% del fatturato mondiale annuo |
| Altri obblighi (fornitori, deployer, importatori, distributori, organismi notificati) | 15 milioni di euro o 3% |
| Informazioni inesatte, incomplete o fuorvianti alle autorità | 7,5 milioni di euro o 1% |
Il correttivo per le PMI
Per le PMI e le piccole imprese a media capitalizzazione si applica l'importo inferiore tra i due parametri (quindi il minore tra la cifra fissa e la percentuale del fatturato), non il maggiore. È una mitigazione reale, ma per un'impresa da qualche milione di fatturato l'esposizione resta di ordine tale da giustificare largamente il costo della compliance.
Nel determinare la sanzione le autorità considerano, tra l'altro, natura e durata della violazione, dimensione dell'operatore, eventuali violazioni precedenti, misure adottate per attenuare il danno e grado di cooperazione. Un'organizzazione che si presenta con registro, policy e formazione documentata è in una posizione radicalmente diversa da una che non ha nulla.
Checklist di conformità
Spunta ciò che hai già fatto. La barra si aggiorna e resta salvata.
Piano operativo a 90 giorni
| Periodo | Azioni | Esito atteso |
|---|---|---|
| Giorni 1–30 Vedere | Censimento degli strumenti in uso (incluso lo shadow AI); costruzione del registro; identificazione del referente interno | Registro dei sistemi di IA compilato |
| Giorni 31–60 Decidere | Classificazione del rischio per ciascun caso d'uso; verifica dei divieti art. 5; verifica degli obblighi di trasparenza art. 50; interrogazione scritta dei fornitori | Valutazioni scritte e correzioni immediate sui casi critici |
| Giorni 61–90 Presidiare | Redazione e diffusione della policy; formazione documentata del personale; definizione dei controlli sull'output; calendario delle revisioni | Policy attiva, formazione tracciata, routine avviata |
Il criterio con cui uscire dal corso
Se dovessi ricordare una sola cosa: l'AI Act non punisce l'uso dell'IA, punisce l'uso inconsapevole e non documentato. Un'organizzazione che sa che cosa usa, per quale scopo, con quale controllo umano e con quale trasparenza verso le persone, è sostanzialmente conforme, e, non per caso, usa anche molto meglio gli strumenti.
Fonti e riferimenti per l'aggiornamento
- Regolamento (UE) 2024/1689 (AI Act), testo consolidato su EUR-Lex
- Regolamento (UE) 2026/1744 (Digital Omnibus sull'IA), in vigore dal 27 luglio 2026
- Orientamenti della Commissione europea sulla trasparenza dei contenuti generati dall'IA (20 luglio 2026)
- Legge 23 settembre 2025, n. 132, disposizioni in materia di intelligenza artificiale
- AI Act Service Desk e living repository sull'alfabetizzazione IA della Commissione europea
- AgID e ACN per le indicazioni operative nazionali; Garante privacy per i profili di trattamento dati